ओळख व्यवस्थापन म्हणजे काय आणि २०२६ मध्ये ते कसे कार्य करते

एक नवीन कर्मचारी सोमवारी सकाळी येतो, एका कंत्राटदाराला एका प्रोजेक्टसाठी ॲक्सेस हवा असतो, आणि एक अभ्यागत गेस्ट WiFi पासवर्डसाठी विचारतो. ते सर्व एकाच इमारतीमध्ये उभे आहेत, परंतु त्यांना समान ॲक्सेस मिळू नये. कर्मचाऱ्याला ईमेल, पेरोल, अंतर्गत ॲप्लिकेशन्स आणि स्टाफ कनेक्टिव्हिटीची आवश्यकता असू शकते. कंत्राटदाराला मर्यादित कालावधीसाठी एका शेअर केलेल्या वर्कस्पेसची आवश्यकता असू शकते. अभ्यागताला इंटरनेट ॲक्सेसची आवश्यकता आहे, व्यावसायिक सिस्टम्समध्ये प्रवेशाची नाही.

तो फरक म्हणजेच ओळख व्यवस्थापन म्हणजे काय याचे व्यावहारिक उत्तर आहे. व्यक्ती किंवा प्रणाली कोण आहे हे प्रस्थापित करण्यासाठी, त्या ओळखीची पडताळणी करण्यासाठी, ती कशाचा वापर करू शकते हे ठरवण्यासाठी आणि परिस्थिती बदलल्यावर तो प्रवेश काढून घेण्यासाठी संस्था वापरत असलेल्या धोरणे, प्रक्रिया आणि तंत्रज्ञानाचा हा संग्रह आहे.

आयडेंटिटी मॅनेजमेंट आता आयटी लॉगिन स्क्रीनच्या पलीकडे पोहोचले आहे. हे ग्राहकांचे ऑनबोर्डिंग, फसवणूक प्रतिबंध, कॉर्पोरेट गव्हर्नन्स, नेटवर्क ॲक्सेस आणि नियामक नियंत्रणांना समर्थन देते. युनायटेड किंगडममध्ये, डिजिटल आयडेंटिटी क्षेत्रात जानेवारी २०२६ पर्यंत २७५ सक्रिय कंपन्या होत्या, ज्यावरून हे दिसून येते की आयडेंटिटी केवळ एक प्रशासकीय कार्य न राहता एक महत्त्वपूर्ण तंत्रज्ञान आणि आर्थिक इकोसिस्टम म्हणून विकसित झाली आहे. या क्षेत्राने २०२४/२०२५ मध्ये अंदाजे £२.०३ अब्ज वार्षिक महसूल मिळवला, £१.०४ अब्ज ग्रॉस व्हॅल्यू ॲडेड तयार केले आणि UK Digital Identity Sectoral Analysis Report नुसार ९,६२४ पूर्णवेळ समकक्ष भूमिकांना मदत केली.

हा मार्गदर्शक मूलभूत सिद्धांतांपासून संकल्पना तयार करतो, नंतर त्याच्या लाइफसायकल, ऑथेंटिकेशन प्रोटोकॉल्स, अधिक मजबूत साइन-इन पद्धती आणि गेस्ट WiFi, स्टाफ WiFi, सर्टिफिकेट्स, Passpoint आणि iPSK सारख्या वास्तविक नेटवर्क उदाहरणांद्वारे ओळखीचा मागोवा घेतो. सुरक्षेच्या फायद्यांच्या व्यापक परिचयासाठी, protect data with identity management ॲक्सेस-मॅनेजमेंटच्या दृष्टिकोनातून उपयुक्त संदर्भ प्रदान करते.

आधुनिक संस्थांमध्ये ओळख व्यवस्थापनाची (Identity Management) ओळख

ऑफिसच्या WiFi ची विनंती बहुधा सिक्युरिटी रिव्ह्यू पेक्षा संस्थेची ओळख धोरण स्ट्रॅटेजी वेगाने समोर आणते. जर प्रत्येकाला समान प्री-शेअर्ड की मिळाली, तर नेटवर्क कायमस्वरूपी कर्मचारी, जाणारा कंत्राटदार किंवा रिसेप्शन डेस्कवरून पासवर्ड कॉपी करणारा व्हिजिटर यामधील फरक ओळखू शकत नाही. की बदलणे त्रासदायक ठरते, त्यामुळे टीम्स त्यास उशीर करतात, आणि मूळ व्यावसायिक गरज संपल्यानंतरही जुना ॲक्सेस बराच काळ सुरू राहतो.

एक चांगली डिझाईन पासवर्डने नव्हे, तर व्यक्तीपासून सुरू होते. नवीन कर्मचारी संस्थेच्या आयडेंटिटी प्रोव्हाइडरद्वारे साइन इन करतो आणि त्याच्या भूमिकेशी संबंधित स्टाफ ॲक्सेस मिळवतो. कंत्राटदाराला अधिक मर्यादित प्रोफाइल मिळते, जे कदाचित प्रोजेक्ट नेटवर्क किंवा विशिष्ट ॲप्लिकेशन्सपुरते मर्यादित असते. पाहुणा (गेस्ट) एका वेगळ्या सेवेचा वापर करतो जी अंतर्गत सिस्टम्स उघड न करता इंटरनेट कनेक्टिव्हिटी प्रदान करते.

ओळख हा विश्वासाचा निर्णय आहे

प्रत्येक प्रवेश विनंती एकाच वेळी अनेक प्रश्न विचारते:

प्रवेशाची विनंती कोण करत आहे? संस्थेला एका विश्वसनीय आयडेंटिटी रेकॉर्डची आवश्यकता असते.
त्या व्यक्तीने ते कसे सिद्ध केले आहे? पासवर्ड, ऑथेंटिकेटर, प्रमाणपत्र किंवा इतर घटक पुरावा प्रदान करू शकतात.
त्या व्यक्तीने कुठपर्यंत पोहोचले पाहिजे? प्रवेश हा भूमिका, डिव्हाइस, स्थान, जोखीम आणि व्यवसाय हेतूवर अवलंबून असतो.
प्रवेश किती काळ उपलब्ध असावा? तात्पुरते काम आणि बदलणाऱ्या जबाबदाऱ्यांसाठी मुदत संपणे किंवा पुनरावलोकनाची आवश्यकता असते.
त्यानंतर काय पुरावा उरतो? लॉग आणि निर्णय हे चौकशी, जबाबदारी आणि अनुपालनास समर्थन देतात.

हा मॉडेल कर्मचारी आणि ग्राहकांना लागू होतो, परंतु सप्लायर्स, सर्व्हिस खाती, डिव्हाइसेस आणि व्यावसायिक अधिकाऱ्यांना देखील लागू होतो. यूकेचे अधिकृत ओळख पडताळणीच्या दिशेने पाऊल हा व्यापक बदल दर्शवतो. एखादी संस्था व्यवहार, नोंदणी किंवा कायदेशीर कारवाईची परवानगी देण्यापूर्वी विश्वास निर्माण करण्यासाठी ओळख (identity) चा वापर वाढत्या प्रमाणात केला जात आहे.

हा विषय IT च्या पलीकडे का महत्त्वाचा आहे

संस्थांनी अधिक सेवा ऑनलाइन आणल्या आहेत आणि वापरकर्त्यांना आता डिजिटल ऑनबोर्डिंग जलद व्हावे अशी अपेक्षा असते, तर नियामकांना ते नियंत्रित असावे अशी अपेक्षा असते. यामुळे एक तणाव निर्माण होतो. खूप कमी पुरावे मागणारी प्रक्रिया तोतयागिरी किंवा फसवणुकीला वाव देऊ शकते, तर खूप जास्त पुरावे मागणारी प्रक्रिया वैध वापरकर्त्यांना निराश करू शकते आणि सपोर्टची मागणी वाढवू शकते.

आयडेंटिटी मॅनेजमेंट वेगवेगळ्या निर्णयांना वेगळे करून या तणावाचा काही भाग सोडवते. व्यक्तीच्या आयडेंटिटीची पडताळणी करणे, परत येणाऱ्या वापरकर्त्याचे ऑथेंटिकेशन करणे आणि एखाद्या विशिष्ट रिसॉर्ससाठी ॲक्सेस ऑथराईझ करणे हे एकमेकांशी संबंधित आहेत, परंतु ते एकच काम नाहीत. त्यांना वेगळे ठेवल्याने टीम्सना प्रत्येक विनंतीला सारखाच अडथळा न आणता, जिथे जोखीम जास्त आहे तिथे अधिक कठोर तपासण्या लागू करण्यास मदत होते.

सर्वात सोपे आणि उपयुक्त मॉडेल हे आहे: आयडेंटिटी मॅनेजमेंट हा लोक, सिस्टम आणि ॲक्सेस निर्णयांना जोडणारा एक ट्रस्ट आणि कम्प्लायन्स लेयर आहे. लॉगिन तंत्रज्ञान हा केवळ एक घटक आहे. गव्हर्नन्स, लाइफसायकल नियंत्रण, नेटवर्क पॉलिसी आणि पुरावे हे चित्र पूर्ण करतात.

Identity and Access Management मागील मूळ संकल्पना समजून घेणे

पासपोर्ट आणि बिल्डिंग पासने सुरुवात करा. पासपोर्टमध्ये असे आयडेंटिफायर्स असतात जे तुम्हाला इतर लोकांपेक्षा वेगळे करतात. ते एका ओळखीचे प्रतिनिधित्व करते, परंतु पासपोर्ट स्वतःच पुरावा नाही की तो धारण करणारी व्यक्ती हीच खरी मालक आहे. सीमा अधिकारी पुराव्यांची तपासणी करतो, त्यानंतर तुम्ही प्रवेश करू शकता की नाही याबद्दल निर्णय घेतो.

डिजिटल ओळख आणि प्रवेश व्यवस्थापन (access management) याच पद्धतीचे अनुसरण करते.

ओळख आणि प्रवेश व्यवस्थापनाच्या मूळ संकल्पना स्पष्ट करणारा आकृती, ज्यामध्ये अभिज्ञापक, ओळख, प्रमाणीकरण आणि अधिकृतता समाविष्ट आहे.

सोप्या भाषेतील शब्दसंग्रह

आयडेंटिफायर हे एखाद्या गोष्टीचा संदर्भ घेण्यासाठी वापरले जाणारे लेबल आहे. युझरनेम, कर्मचारी क्रमांक, ईमेल पत्ता किंवा डिव्हाइसचे नाव एखादा रेकॉर्ड ओळखू शकते. आयडेंटिफायर तो कोण वापरत आहे हे आपोआप सिद्ध करत नाही.

ओळख (identity) हे त्या रेकॉर्डशी संबंधित डिजिटल प्रतिनिधित्व आहे. यामध्ये विभाग, नोकरीची भूमिका, व्यवस्थापक, रोजगाराची स्थिती, ग्राहक संबंध किंवा डिव्हाइसचे मालकत्व यासारखे गुणधर्म असू शकतात. डिरेक्टरी हे गुणधर्म संचयित करते आणि अपडेट करते जेणेकरून इतर प्रणाली त्यांचा वापर करू शकतील.

ऑथेंटिकेशन या प्रश्नाचे उत्तर देते, "तुम्हाला हे कसे माहीत?" युझर क्लेम केलेल्या आयडेंटिटीशी जोडलेला पुरावा सादर करतो. तो पुरावा एखादा सिक्रेट, पझेशन फॅक्टर, बायोमेट्रिक वैशिष्ट्य किंवा क्रिप्टोग्राफिक सर्टिफिकेट असू शकतो.

ऑथोरायझेशन (Authorization) उत्तर देते, "तुम्ही काय करू शकता?" ऑथेंटिकेशननंतर, एखादी पॉलिसी वापरकर्त्याची आयडेंटिटी आणि संदर्भाचे मूल्यमापन करते आणि त्यानंतरच ॲप्लिकेशन, फाईल, नेटवर्क किंवा प्रशासकीय कार्याचा ॲक्सेस मंजूर करते. ऑथोरायझेशनशिवाय ऑथेंटिकेशन केल्याने एखाद्या व्यक्तीची आयडेंटिटी तर सिद्ध होईल परंतु त्यांच्या परवानग्यांभोवती कोणतीही उपयुक्त मर्यादा मिळणार नाही.

आयडेंटिटी प्रोव्हायडर, ज्याला बऱ्याचदा IdP म्हटले जाते, ते प्रमाणीकरण (authentication) करते किंवा त्याचे समन्वय साधते आणि दुसऱ्या सेवेला विश्वसनीय माहिती पाठवते. प्राप्त करणारा ॲप्लिकेशन हा सेवा प्रोव्हायडर (service provider) असतो. फेडरेशन त्यांच्यामध्ये एक विश्वासाचे नाते तयार करते, जेणेकरून एखादा ॲप्लिकेशन एका स्वतंत्र पासवर्ड डेटाबेसची देखरेख ठेवण्याऐवजी प्रस्थापित आयडेंटिटी स्रोतावर अवलंबून राहू शकतो.

एकच ओळख मॉडेल (identity model) प्रत्येक वापरकर्त्यासाठी योग्य नसते

Workforce identity management मध्ये कर्मचारी, कंत्राटदार आणि संस्थेच्या वतीने काम करणाऱ्या इतर लोकांचा समावेश होतो. Customer identity management बाह्य वापरकर्त्यांना सेवा देते जे खाती तयार करतात, सेवा खरेदी करतात किंवा वैयक्तिक माहिती ॲक्सेस करतात. हे दोन्ही वर्कफ्लो एकमेकांशी जोडलेले आहेत, परंतु त्यांचे प्राधान्यक्रम भिन्न आहेत. Workforce access बहुधा रोजगाराच्या भूमिका आणि अंतर्गत धोरणांचे पालन करतो, तर ग्राहक ॲक्सेसमध्ये फसवणूक नियंत्रण, गोपनीयता, कन्व्हर्जन आणि सपोर्ट यांचा समतोल साधावा लागतो.

Least privilege हे तत्त्व दोन्ही वातावरणांना जोडते:

प्रत्येक आयडेंटिटीला केवळ त्याच्या सद्य उद्देशासाठी आवश्यक तेवढाच ॲक्सेस द्या, आणि तो उद्देश संपल्यावर तो ॲक्सेस काढून घ्या.

UK ची बाजारपेठ या ट्रस्ट लेयरचे प्रमाण स्पष्ट करते. या क्षेत्रातील उपक्रमांमध्ये ओळख पडताळणी, ऑनबोर्डिंग, फसवणूक प्रतिबंध आणि खाते उघडण्याच्या वर्कफ्लोचा समावेश होतो, ज्यामध्ये सरकारने त्यांच्या क्षेत्र विश्लेषणामध्ये जानेवारी २०२६ पर्यंत २७५ सक्रिय कंपन्या असल्याचे ओळखले आहे. ती व्याप्ती हे दर्शवते की ओळख आता केवळ अंतर्गत डिरेक्टरी प्रशासनाऐवजी सार्वजनिक सेवा, बँकिंग, एंटरप्राइझ सिस्टम्स आणि ग्राहक व्यवहारांना कशी सपोर्ट करते.

Identity Lifecycle आणि Governance एकत्र कसे काम करतात

आयडेंटिटी ही केवळ एक स्थिर डेटाबेस एन्ट्री नसते. एखादी व्यक्ती संस्थेत सामील होते, नवीन जबाबदाऱ्या घेते, टीम्स बदलतात किंवा नोकरी सोडते तशी ती बदलत राहते. मजबूत आयडेंटिटी मॅनेजमेंट या बदलांना सहकाऱ्यांमध्ये पाठवलेल्या अनौपचारिक विनंत्यांऐवजी नियंत्रित इव्हेंट्स म्हणून हाताळते.

ओळख जीवनचक्राचे पाच टप्पे दर्शवणारा आकृती, जो गव्हर्नन्स आणि संस्थात्मक सुरक्षेसाठी त्याचे फायदे यावर भर देतो.

Joiner पासून Leaver पर्यंत

प्रोव्हिजनिंग ओळख रेकॉर्ड तयार करते आणि त्याला अधिकृत माहितीशी जोडते, जी सामान्यतः ह्युमन रिसोर्स सिस्टीम किंवा ग्राहक प्लॅटफॉर्मवरून येते. संस्था ॲप्लिकेशन किंवा नेटवर्क ॲक्सेस देण्यापूर्वी व्यक्तीची स्थिती, विभाग आणि व्यवस्थापक स्थापित करते.

ऑनबोर्डिंग सुरुवातीचे ॲक्सेस पॅकेज लागू करते. फायनान्स कर्मचाऱ्याला फायनान्स ॲप्लिकेशन्सची आवश्यकता असू शकते, तर तात्पुरत्या कर्मचाऱ्याला अधिक मर्यादित परवानग्या मिळतात. ऑटोमेटेड वर्कफ्लो सिस्टीममधील मॅन्युअल कॉपी करणे कमी करू शकतात, परंतु ऑटोमेशनने डीफॉल्टनुसार व्यापक ॲक्सेस देण्याऐवजी मंजूर पॉलिसीचे पालन केले पाहिजे.

भूमिका बदलणे (role change) ही अशी जागा आहे जिथे अनेक वातावरणात जोखीम वाढते. प्रमोशन, ट्रान्सफर किंवा नवीन प्रकल्पामुळे जुने अधिकार न काढता नवीन परवानग्या जोडल्या जाऊ शकतात. जसजसा वेळ जातो, तसतसे त्या व्यक्तीकडे अनेक भूमिकांचे ॲक्सेस राहतात, ज्या परिस्थितीला बऱ्याचदा प्रिव्हिलेज क्रीप म्हटले जाते. एक विश्वसनीय वर्कफ्लो सध्याच्या भूमिकेवरून अधिकारांची पुन्हा गणना करतो आणि पुनरावलोकनासाठी अपवाद पाठवतो.

Offboarding मुळे खाती निष्क्रिय होतात, सेशन्स रद्द होतात, ग्रुप मेंबरशिप काढली जाते आणि संबंधित रिसोर्सेस जसे की सर्टिफिकेट्स, टोकन्स आणि शेअर्ड डिव्हाइसेस हाताळले जातात. याची वेळ खूप महत्त्वाची असते. मॅन्युअल तिकीट येण्याची वाट पाहिल्याने नोकरीचा निर्णय आणि ॲक्सेसचा निर्णय यामध्ये अंतर निर्माण होते.

Governance उपक्रमाला नियंत्रणात बदलते

गव्हर्नन्स हे परिभाषित करते की ॲक्सेस कोण मंजूर करू शकते, मालक किती वेळा त्याचे पुनरावलोकन करतात आणि संस्था पुरावा म्हणून काय स्वतःकडे ठेवते. ॲक्सेस सर्टिफिकेशन मॅनेजर किंवा ॲप्लिकेशन मालकाला परवानग्या अजूनही योग्य आहेत याची खात्री करण्यास सांगते. कर्तव्यांचे पृथक्करण (segregation of duties) एकाच व्यक्तीला अशा अधिकारांचे संयोजन मिळण्यापासून रोखते ज्यामुळे अयोग्य व्यवहार होऊ शकतो.

उपयुक्त ऑपरेशनल उपायांमध्ये प्रोव्हिजनिंगसाठी लागणारा वेळ, रिव्होक करण्यासाठी लागणारा वेळ, न सुटलेले ॲक्सेस-पुनरावलोकन निष्कर्ष आणि स्पष्ट मालक नसलेल्या खात्यांची संख्या यांचा समावेश होतो. हे उपाय निर्णय घेण्याची जागा घेत नाहीत, परंतु ते लाइफसायकल कोठे संथ मॅन्युअल कामावर किंवा अपूर्ण डेटावर अवलंबून आहे हे प्रकट करतात.

यूकेच्या आयडेंटिटी क्षेत्रातील रोजगार २०२० पासून दरवर्षी सरासरी ११.७% ने वाढला आहे, जो सरकारच्या विश्लेषणानुसार आयडेंटिटी व्हेरिफिकेशन, ऑनबोर्डिंग, फसवणूक प्रतिबंध आणि खाते उघडण्याच्या वर्कफ्लोची सातत्यपूर्ण मागणी दर्शवतो. ही मागणी एका व्यावहारिक मुद्द्याला अधोरेखित करते: आयडेंटिटी प्रक्रिया व्यावसायिक सेवांच्या केंद्रस्थानी आल्यामुळे लाइफसायकल ऑपरेशन्ससाठी समर्पित मालकी असणे आवश्यक आहे.

नेटवर्क टीम्ससाठी, तोच तर्क कर्मचारी कनेक्टिव्हिटीला लागू होतो. एक staff WiFi lifecycle approach डिरेक्टरीमधील बदलांना नेटवर्क परवानग्यांशी जोडू शकतो, जेणेकरून भूमिका बदल किंवा कर्मचारी बाहेर पडल्याने कोणतीही अव्यवस्थित वायरलेस क्रेडेन्शियल्स मागे राहणार नाहीत.

व्यावहारिक नियम: प्रत्येक ॲक्सेस मंजुरीला एक मालक, निश्चित कालावधी आणि तो रद्द करण्याची पद्धत असलेला निर्णय म्हणून हाताळा.

Single Sign On ला सक्षम करणारे Authentication Protocols

प्रोटोकॉल्स हे आयडेंटिटी ट्रस्टचे पायाभूत प्लंबिंग आहेत. एक सिस्टम दुसऱ्या सिस्टमला ऑथेंटिकेशन निकाल किंवा ऑथरायझेशनचा निर्णय कसा कळवते हे ते परिभाषित करतात. ते सर्व एकाच प्रकारची समस्या सोडवत नाहीत, त्यामुळे त्यांच्यामध्ये निवड करताना कर्मचाऱ्याने ॲप्लिकेशनमध्ये साइन इन करणे, ग्राहकाने API कॉल अधिकृत करणे किंवा डिव्हाइस सुरक्षित नेटवर्कमध्ये सामील होणे यापैकी नक्की कशाची आवश्यकता आहे, याबद्दल स्पष्टता असणे आवश्यक आहे.

विविध कार्ये असणारे चार protocols

प्रोटोकॉल (Protocol)	प्राथमिक हेतू	सर्वोत्तम फिट वापर प्रकरण (Use case)
SAML	ऑथेंटिकेशन असर्शन्सचे फेडरेटेड एक्सचेंज	स्थापित वेब ॲप्लिकेशन्ससाठी एंटरप्राइझ सिंगल साइन-ऑन
OAuth	डेलिगेटेड ऑथरायझेशन	वापरकर्त्याचा पासवर्ड उघड न करता ॲप्लिकेशनला संसाधनात प्रवेश करण्याची परवानगी देणे
OIDC	OAuth वर तयार केलेला युझर आयडेंटिटी लेयर	साइन-इन आणि मानक आयडेंटिटी क्लेम्सची आवश्यकता असलेले आधुनिक ॲप्लिकेशन्स
RADIUS सोबत 802.1X	केंद्रीकृत नेटवर्क ऑथेंटिकेशन आणि पॉलिसी एक्सचेंज	आयडेंटिटी सेवेद्वारे नियंत्रित एंटरप्राइझ वायर्ड आणि वायरलेस WiFi प्रवेश

एंटरप्राइझ सिंगल साइन-ऑनमध्ये SAML अजूनही सामान्य आहे. एखादा कर्मचारी ओळख प्रदात्यासह प्रमाणीकरण करतो, जो ॲप्लिकेशनला स्वाक्षरी केलेले प्रतिपादन पाठवतो. ॲप्लिकेशन कॉन्फिगर केलेल्या संबंधावर विश्वास ठेवते आणि कर्मचाऱ्याला स्वतंत्र ॲप्लिकेशन पासवर्ड न विचारता सत्र सुरू करते.

OAuth मुख्यत्वे डेलिगेटेड ॲक्सेसबद्दल आहे, एखाद्या व्यक्तीची आयडेंटिटी सिद्ध करण्याबद्दल नाही. हे क्लायंटला वापरकर्त्याच्या वतीने परिभाषित रिसोर्स वापरण्याची परवानगी मिळवू देते. OIDC हे OAuth मध्ये आयडेंटिटीचा स्तर जोडते, ज्यामुळे ते साइन-इन केलेल्या वापरकर्त्याबद्दल प्रमाणित माहिती आवश्यक असलेल्या आधुनिक ॲप्लिकेशन्ससाठी योग्य बनते.

RADIUS सह 802.1X वेगवेगळ्या वातावरणात काम करते. हे नेटवर्क ॲक्सेस उपकरणे, एक ऑथेंटिकेशन सर्व्हिस आणि युझर किंवा डिव्हाइस क्रेडेंशियल यांना जोडते. याचा परिणाम असा पॉलिसी निर्णय असू शकतो जो डिव्हाइसला योग्य नेटवर्कवर ठेवतो किंवा विशिष्ट ॲक्सेस प्रोफाइल नियुक्त करतो.

विश्वास स्पष्ट असावा लागेल

सिंगल साइन-ऑन सोयीस्कर आहे कारण युझर्स प्रत्येक ॲप्लिकेशनसाठी स्वतंत्र क्रेडेंशियल्स राखण्याऐवजी एका विश्वसनीय आयडेंटिटी प्रोव्हायडरद्वारे प्रमाणीकरण करतात. फेडरेशन जबाबदारी देखील निर्माण करते. ॲडमिनिस्ट्रेटर्सनी स्वाक्षरी की (signing keys) सुरक्षित ठेवल्या पाहिजेत, प्रतिपादनांचे (assertions) प्रमाणीकरण केले पाहिजे, क्लेम मॅपिंग्ज परिभाषित केले पाहिजेत आणि यापुढे आवश्यक नसलेले ट्रस्ट संबंध काढून टाकले पाहिजेत.

यूके सरकारी मार्गदर्शन ओळख पडताळणीला सेवा ऑथेंटिकेशनपासून वेगळे करते. GOV.UK's digital identity guidance पडताळणी आणि व्हेरिफिकेशनला GPG 45 शी जोडते, तर सेवा ऑथेंटिकेशन GPG 44 द्वारे नियंत्रित केले जाते. हे वर्गीकरण संस्थांना प्रत्येक लॉगिनला समान इव्हेंट मानण्याऐवजी सेवेसाठी योग्य पातळीची खात्री निवडण्यास मदत करते.

ज्या टीम्सना एकाच विश्वसनीय साइन-इनद्वारे विविध सेवा कशा जोडल्या जाऊ शकतात याच्या अधिक तपशीलवार स्पष्टीकरणाची आवश्यकता आहे, त्यांना unified global unified login explained मधून फायदा होऊ शकतो. नेटवर्क-विशिष्ट डिप्लॉयमेंट्ससाठी, प्रत्येक RADIUS घटक ऑन-प्रिमाइसेसवर न ठेवता ऑथेंटिकेशनचे केंद्रीकरण करण्यासाठी RADIUS-as-a-Service हा एक आर्किटेक्चरल पर्याय आहे.

MFA आणि Passwordless पर्यायांसह मजबूत प्रमाणीकरण (Strong Authentication)

प्रोटोकॉल हे स्पष्ट करतो की सिस्टम्स कशा प्रकारे विश्वासाची देवाणघेवाण करतात. ऑथेंटिकेशन फॅक्टर हे स्पष्ट करतो की युझर पुरावा म्हणून काय सादर करतो. हे विचार वेगळे ठेवल्याने एक सामान्य चूक टळते: केवळ सिंगल साइन-ऑन लागू केल्याने ऑथेंटिकेशन मजबूत होते असे गृहीत धरणे.

A pyramid diagram showing three levels of strong authentication: something you are, something you have, and something you know.

एक प्रमाणीकरण शिडी (authentication ladder) तयार करा

पासवर्ड हा एक ज्ञान घटक (knowledge factor) आहे, जी वापरकर्त्याला माहित असलेली गोष्ट असते. पासवर्ड परिचित राहतात, परंतु वापरकर्ते त्यांचा पुन्हा वापर करतात, कमकुवत पासवर्ड निवडतात किंवा फिशिंगद्वारे ते उघड करतात. पासवर्ड व्यवस्थापक आणि समंजस धोरण बेसलाइन सुधारू शकते, परंतु केवळ पासवर्ड असणे आक्रमकाला पराभूत करण्यासाठी एकच लक्ष्य देते.

मल्टी-फॅक्टर प्रमाणीकरण वेगवेगळ्या श्रेणींमधील पुराव्या एकत्र करते. ऑथेंटिकेटर ॲप किंवा हार्डवेअर टोकनद्वारे जनरेट केलेला कोड युझरकडे काहीतरी असल्याचे दर्शवतो. SMS अतिरिक्त तपासणी प्रदान करू शकतो, परंतु संस्थांनी जास्त जोखीम असलेल्या परिस्थितींसाठी त्याच्या योग्यतेचे मूल्यांकन केले पाहिजे कारण फोन चॅनेलवर हल्ला केला जाऊ शकतो किंवा तो वळवला जाऊ शकतो.

बायोमेट्रिक्स युझरच्या अस्तित्वाशी संबंधित असतात. फिंगरप्रिंट्स आणि फेशियल रेकग्निशनमुळे साइन-इन वेगवान होऊ शकते, परंतु त्यांच्यासाठी काळजीपूर्वक प्रायव्हसी डिझाइन आणि सुरक्षित डिव्हाइस हाताळणी आवश्यक आहे. पासवर्डसारखे बायोमेट्रिक वैशिष्ट्य एकदा उघड झाल्यावर बदलता येत नाही.

Passwordless साठी काळजीपूर्वक डिझाइनची आवश्यकता आहे

पासवर्डविरहित प्रमाणीकरण (Passwordless authentication) युझरला पुन्हा वापरता येणारा गुप्त पासवर्ड टाईप करण्यास न सांगता मालकी सिद्ध करण्यासाठी डिव्हाइस, क्रिप्टोग्राफिक की किंवा प्लॅटफॉर्म ऑथेंटिकेटरचा वापर करते. जेव्हा संबंधित नोंदणी, रिकव्हरी आणि खाते बदलण्याच्या प्रक्रिया देखील नियंत्रित असतात, तेव्हा FIDO2 सुरक्षा की आणि पासकीज मजबूत, फिशिंग-प्रतिरोधक प्रमाणीकरण प्रदान करू शकतात.

एक व्यावहारिक कार्यक्रम सहसा जोखमीनुसार पुढे सरकतो:

कमी-अडथळ्यांच्या सेवा: सिंगल साइन-ऑन आणि सुव्यवस्थित पासवर्ड प्रक्रियेचा वापर करा जिथे तडजोड झाल्यास त्याचे परिणाम मर्यादित असतील.
संवेदनशील ॲप्लिकेशन्स: MFA ची आवश्यकता ठेवा आणि डिव्हाइसचे आरोग्य, स्थान किंवा असामान्य वर्तनावर आधारित अटींनुसार पॉलिसी लागू करा.
विशेषाधिकार प्राप्त ऑपरेशन्स: फिशिंग-प्रतिरोधक पद्धती, स्वतंत्र ॲडमिनिस्ट्रेटर खाती आणि मजबूत सेशन कंट्रोल्सना प्राधान्य द्या.
शेअर केलेले किंवा अनमॅनेज्ड डिव्हाइसेस: कायमस्वरूपी गुपिते (secrets) समाविष्ट करणे टाळा आणि प्लॅटफॉर्म सपोर्ट करत असेल तिथे सर्टिफिकेट्स किंवा कमी कालावधीचे क्रेडेंशियल्स वापरा.

सर्वोत्तम फॅक्टर हा केवळ वैयक्तिकरित्या सर्वात मजबूत फॅक्टर असतोच असे नाही. तो वापरकर्ता वर्ग, डिव्हाइस उपलब्धता, रिकव्हरी प्रक्रिया आणि सपोर्ट टीमसाठी देखील सोयीचा असला पाहिजे. वायरलेस ॲक्सेससाठी, पासवर्डलेस WiFi मॉडेल नेटवर्क ऑनबोर्डिंगसाठी तोच नियम लागू करू शकते, ज्यामध्ये शेअर्ड क्रेडेंशियल्सच्या ऐवजी आयडेंटिटी-लिंक्ड ॲक्सेस दिला जातो.

नेटवर्क आणि WiFi ॲक्सेसवरील आयडेंटिटी मॅनेजमेंटची वास्तविक जगातील उदाहरणे

हॉटेलचा पाहुणा, कर्मचारी आणि इमारत कंत्राटदार हे सर्व एकाच प्रत्यक्ष ॲक्सेस पॉईंटशी कनेक्ट होऊ शकतात, परंतु ओळख व्यवस्थापनाने त्यांना वेगवेगळी डिजिटल गंतव्यस्थाने दिली पाहिजेत. पाहुण्याला इंटरनेटसाठी सोपा मार्ग हवा असतो. कर्मचाऱ्याला सुरक्षित अंतर्गत कनेक्टिव्हिटी हवी असते. कंत्राटदाराला निवडक सेवांच्या ॲक्सेससह मर्यादित वेळेचे प्रोफाईल हवे असू शकते.

```of_course_not_generating_extra_text_or_comments_here_is_the_clean_valid_json_as_requested. Let me output only the JSON: {

A split-screen showing a man using a digital access card at an office gate and a woman connecting to hotel WiFi.

पाहुणे आणि कर्मचाऱ्यांच्या प्रवेशासाठी एकच गुप्त पासवर्ड (secret) नसावा

एक Captive Portal ईमेल पत्ता, व्हाउचर किंवा सोशल साइन-इनद्वारे पाहुण्यांची ओळख पटवू शकतो, परंतु तरीही नेटवर्कला आयसोलेशन आणि पॉलिसी अंमलबजावणीची आवश्यकता असते. सामायिक गेस्ट पासवर्डमुळे ओळखीचे श्रेय देणे कमकुवत होते आणि जेव्हा पासवर्ड इच्छित प्रेक्षकांच्या पलीकडे पसरतो तेव्हा एक कठीण परिचालन प्रश्न निर्माण होतो.

कर्मचारी ॲक्सेससाठी एंटरप्राइझ ऑथेंटिकेशन, सर्टिफिकेट किंवा Passpoint वापरता येऊ शकते. Passpoint सुसंगत उपकरणाला कमीत कमी मॅन्युअल हस्तक्षेपासह विश्वसनीय नेटवर्क शोधण्याची आणि त्यात सामील होण्याची परवानगी देते, तर एनक्रिप्टेड ऑनबोर्डिंगमुळे सामान्य वायरलेस की द्वारे निर्माण होणारा धोका टाळता येतो. OpenRoaming मॉडेलचा विस्तार सहभागी नेटवर्कवर करतो, जेणेकरून वापरकर्ता वारंवार अपरिचित पोर्टल स्वीकारण्याऐवजी प्रस्थापित ओळख संबंधांवर अवलंबून राहू शकतो.

जुन्या उपकरणांना (Legacy devices) वेगळ्या मार्गाची आवश्यकता असते

प्रिंटर्स, सेन्सर्स आणि जुनी हँडहेल्ड डिव्हाइसेस कदाचित आधुनिक एंटरप्राइझ ऑथेंटिकेशनला सपोर्ट करणार नाहीत. iPSK, किंवा आयडेंटिटी-आधारित प्री-शेअर्ड की, नेटवर्क सेगमेंटेशन कायम ठेवून वेगवेगळ्या डिव्हाइसेसना किंवा ग्रुप्सना त्यांचे स्वतःचे क्रेडेंशियल्स देऊ शकतात. जर एखादे क्रेडेंशियल काढून घ्यावे लागले, तर ॲडमिनिस्ट्रेटर्स इतर प्रत्येक डिव्हाइसचा ॲक्सेस न बदलता ते क्रेडेंशियल काढून टाकू शकतात.

तरीही डिझाइनला इन्व्हेंटरी, मालकी आणि समाप्तीची (expiry) आवश्यकता असते. एखादे डिव्हाइस कोणती की वापरते किंवा ती कधी निष्क्रिय केली जावी हे कोणालाही माहीत नसेल, तर एक वेगळी की ही आपोआप सुरक्षित ओळख बनत नाही.

डिरेक्टरीतील बदल नेटवर्कपर्यंत पोहोचले पाहिजेत

कर्मचाऱ्यांसाठी, Microsoft Entra ID, Google Workspace or Okta मधील इंटिग्रेशन्स एम्प्लॉयमेंट डिरेक्टरीला WiFi धोरणाशी जोडू शकतात. नवीन कर्मचाऱ्याला इच्छित प्रोफाईल मिळते, तर डिरेक्टरीमधील बदलामुळे ॲक्सेस काढून घेतला जाऊ शकतो. Meraki, Aruba, Ruckus, Mist आणि UniFi सारखे नेटवर्क प्लॅटफॉर्म त्यांच्या समर्थित इंटिग्रेशन्स आणि ऑथेंटिकेशन पद्धतींद्वारे परिणामी धोरण लागू करू शकतात.

हाच विश्वासाचा नियम कॉर्पोरेट नोंदणीमध्येही दिसून येतो. Economic Crime and Corporate Transparency Act 2023 अंतर्गत १८ नोव्हेंबर २०२५ रोजी कंपनीच्या अधिकाऱ्यांसाठी आयडेंटिटी पडताळणी ही कायदेशीर गरज बनली. ३१ डिसेंबर २०२५ रोजी संपलेल्या पहिल्या अहवाल कालावधीत, कंपनी हाऊसने आपल्या आयडेंटिटी पडताळणी व्यवस्थापन माहितीमध्ये दर्शविल्याप्रमाणे ८,२३,७७१ पडताळणीकृत नियुक्त्या आणि ६.२७% अनुपालन दर नोंदवला आहे. ही आकडेवारी दर्शवते की आयडेंटिटी नियंत्रणे केवळ तांत्रिक सुविधेऐवजी औपचारिक प्रशासनाचा भाग कशी बनू शकतात.

तुमच्या ओळख धोरणासाठी (Identity Strategy) सर्वोत्तम पद्धती, जोखीम आणि पुढील पावले

कमकुवत आयडेंटिटी मॅनेजमेंट सहसा एका मोठ्या डिझाइन त्रुटीऐवजी सामान्य ऑपरेशनल त्रुटींमुळे अपयशी ठरते. माजी कर्मचाऱ्याचे खाते तशाच प्रकारे सुरू राहते, एखादा कंत्राटदार मोठ्या ग्रुपमध्ये कायम राहतो, ॲप्लिकेशन मालक पुनरावलोकन न करता ॲक्सेस मंजूर करतो, किंवा सामायिक केलेला WiFi की तसाच फिरत राहतो कारण तो बदलल्याने सर्वांची गैरसोय होईल.

एक उपयुक्त धोरण ओळखींचा निर्णयांसोबत नकाशा तयार करण्यापासून सुरू होते. ज्या लोक, ग्राहक, डिव्हाइसेस, सेवा खाती आणि व्यावसायिक अधिकारी यांना ओळखणे आवश्यक आहे त्यांची यादी करा. नंतर अधिकृत रेकॉर्ड तयार करणार्‍या प्रणाली, ओळख माहिती वापरणारे ॲप्लिकेशन्स आणि प्रवेश लागू करणार्‍या नेटवर्क कंट्रोल्स शोधा.

सामान्य जोखमींना नियंत्रणात बदला

Credential reuse becomes less attractive when applications use federation, MFA and passwordless methods where appropriate.

जेव्हा प्रत्येक आयडेंटिटीचा एक मालक असतो, त्यांची नोकरी किंवा सर्व्हिस स्टेटस असते आणि एक निश्चित ऑफबोर्डिंग प्रक्रिया असते, तेव्हा पोरकी खाती (Orphaned accounts) शोधणे सोपे होते.

Privilege creep is reduced when role changes recalculate access rather than adding another group membership.

Invisible exceptions become manageable when temporary access has an expiry date and privileged actions produce reviewable logs.

Poor network attribution improves when staff, guests and devices receive identity-linked profiles instead of one universal wireless secret.

गव्हर्नन्सने ऑपरेशनल दृष्टीने महत्त्वाच्या असलेल्या गोष्टींचे मोजमाप केले पाहिजे. प्रोव्हिजनिंग आणि रिव्होकेशन वेळ, थकीत ॲक्सेस पुनरावलोकने, मालक नसलेली खाती, शिळी झालेली परवानग्या आणि मंजुरीच्या प्रतीक्षेत असलेले अपवाद यांचा मागोवा घ्या. हे उपाय नेत्यांना हे पाहण्यास मदत करतात की एखाद्या व्यक्तीची स्थिती बदलल्यावर संस्था कारवाई करू शकते की नाही, केवळ लॉगिन यशस्वी झाले की नाही एवढेच नाही.

कन्व्हरजन्सला डिझाइनची समस्या म्हणून हाताळा

कर्मचारी ओळख, ग्राहक ओळख आणि वैधानिक ओळख पडताळणी हे एकाच प्रश्नाने वाढत्या प्रमाणात जोडले गेले आहेत: संस्था विनंती करणाऱ्या घटकावर विश्वास ठेवू शकते का? त्यांना एकाच वर्कफ्लोमध्ये येण्याची सक्ती केली जाऊ नये, कारण ग्राहक खाते, कर्मचारी प्रशासक आणि कंपनी अधिकारी यांच्याशी संबंधित धोके वेगळे असतात. त्यांना ओळख पडताळणी, ऑथेंटिकेशन, ऑथोरायझेशन, पुरावे आणि माघार घेण्यासाठी सुसंगत तत्त्वांची आवश्यकता असते.

आधी नमूद केलेल्या सरकारी क्षेत्राच्या विश्लेषणानुसार, यूकेच्या डिजिटल आयडेंटिटी क्षेत्राने २०२४/२०२५ मध्ये वार्षिक महसुलात सुमारे £२.०३ अब्ज उत्पन्न मिळवले आणि ९,६२४ पूर्णवेळ समकक्ष भूमिकांना सहाय्य केले. हे प्रमाण दर्शवते की आयडेंटिटी रणनीतीकडे आता सुरक्षा, अनुपालन (कॉम्प्लायन्स), नेटवर्किंग, HR, उत्पादन आणि ग्राहक अनुभव (कस्टमर एक्सपिरियन्स) टीम्सनी एकत्रितपणे लक्ष देणे का आवश्यक आहे.

स्टाफ WiFi किंवा जॉइनर आणि लीव्हर ॲक्सेस यांसारख्या उच्च-मूल्य असलेल्या मार्गापासून सुरुवात करा. अधिकृत स्रोताचे दस्तऐवजीकरण करा, पॉलिसी परिभाषित करा, नियमित निर्णय स्वयंचलित करा, अपवादांचे पुनरावलोकन करा आणि रिव्होकेशन तपासा. नंतर एकच टूल किंवा एकच ऑथेंटिकेशन फॅक्टर प्रत्येक आयडेंटिटीला अनुकूल असेल असे गृहीत न धरता या पॅटर्नचा विस्तार ॲप्लिकेशन्स, पाहुणे, डिव्हाइसेस आणि ग्राहक सेवांपर्यंत करा.

Purple ओळख-आधारित ॲक्सेसला गेस्ट, स्टाफ आणि मल्टी-टेनंट WiFi वातावरणाशी जोडते, ज्यामध्ये पासवर्डशिवाय ऑनबोर्डिंग, Passpoint आणि शेअर केलेल्या नेटवर्क क्रेडेंशियल्सच्या ऐवजी नियंत्रित ॲक्सेस पॉलिसी लागू करू इच्छिणाऱ्या संस्थांसाठी डिरेक्टरी इंटिग्रेशन्सचा समावेश आहे. हॉस्पिटॅलिटी, रिटेल, हेल्थकेअर, प्रॉपर्टी आणि एंटरप्राइझ नेटवर्क्समध्ये त्याचे प्लॅटफॉर्म व्यावहारिक ओळख व्यवस्थापनाला कसे सपोर्ट करू शकते हे पाहण्यासाठी Purple ला भेट द्या.

ओळख व्यवस्थापन म्हणजे काय आणि २०२६ मध्ये ते कसे कार्य करते